Ledger räumte am 10. Oktober ein, dass sich bei einem Diebstahl von Kundengeldern in betroffenen Geräten ein „nicht autorisiertes Hardwareimplantat“ befand. Am 11. Oktober erklärte das Unternehmen weiter, dass alle bestätigten Fälle von Kryptodiebstahl Geräte betrafen, die über den Händler CryptoBilis verkauft wurden. Die Zahl der betroffenen Geräte sei „begrenzt“. Das ist ein Problem auf Ebene der Lieferkette – kein Fall, in dem ein Nutzer auf einen Phishing-Link geklickt hat.
Was bekannt ist: Ledger hat weder das genaue Modell der implantierten Geräte noch deren Funktionsweise oder ihre Rolle beim Kryptodiebstahl offengelegt. CryptoBilis war früher ein autorisierter Ledger-Händler in Malaysia, Indonesien und den Philippinen und hat inzwischen den Verkauf sämtlicher Hardware-Wallets eingestellt – eine umfassendere Maßnahme als Ledgers Aufforderung vom 9. Oktober, nur den Verkauf der eigenen Geräte einzustellen. Ledger betont, dass die eigene Firmware, die Systeme, die Dienste und der Direktvertrieb nicht kompromittiert wurden. Zur Höhe der Verluste hat Ledger keine Zahlen bestätigt. Die Angaben von Blockchain-Analysefirmen reichen von 72 bis 92,9 Millionen US-Dollar; betroffen waren 311 Wallets auf den Netzwerken $BTC , $ETH , TRON und BNB Chain.
Die eigentliche Frage ist nicht, ob „Hardware-Wallets noch sicher sind“, sondern worauf sich das Vertrauen stützt. Das Sicherheitsmodell einer Hardware-Wallet beruht vollständig auf der Annahme, dass „niemand das Gerät nach der Herstellung verändert hat“. Diese Annahme hängt von der Verwaltung der Lagerbestände und der Vertriebskette ab – genau jener unscheinbaren Stelle, die am leichtesten kompromittiert werden kann. Berichten zufolge sollen unter den Bildschirmen der Geräte kleine Platinen eingebaut worden sein, die die 24 Wörter der Wiederherstellungsphrase über ein Mobilfunknetz zurückschickten. Ledger hat diese Details jedoch nicht bestätigt; vorerst sind sie als Hinweise zu betrachten.
Ein praktischer Rat für alle, die ein Gerät von CryptoBilis gekauft haben: Richtet ein noch versiegeltes Gerät nicht ein. Wenn ihr es bereits eingerichtet und damit Coins transferiert habt, stellt dieselbe Wiederherstellungsphrase nicht auf einem neuen Gerät wieder her – dabei würden die privaten Schlüssel und Konten ebenfalls übernommen. Stattdessen solltet ihr eine völlig neue Wiederherstellungsphrase erstellen und eure Guthaben übertragen. Jeder „Kundendienst“, der euch nach euren 24 Wörtern fragt, ist ein Betrüger.
Meine Frage lautet: Würdet ihr noch Cold Wallets über Drittanbieter kaufen, wenn schon ein „autorisierter Händler“ zum Problem werden kann, oder lieber mehr bezahlen und direkt beim Hersteller bestellen?
#Ledger bestätigt nicht autorisierte Hardwareimplantate in Geräten von Nutzern
Was bekannt ist: Ledger hat weder das genaue Modell der implantierten Geräte noch deren Funktionsweise oder ihre Rolle beim Kryptodiebstahl offengelegt. CryptoBilis war früher ein autorisierter Ledger-Händler in Malaysia, Indonesien und den Philippinen und hat inzwischen den Verkauf sämtlicher Hardware-Wallets eingestellt – eine umfassendere Maßnahme als Ledgers Aufforderung vom 9. Oktober, nur den Verkauf der eigenen Geräte einzustellen. Ledger betont, dass die eigene Firmware, die Systeme, die Dienste und der Direktvertrieb nicht kompromittiert wurden. Zur Höhe der Verluste hat Ledger keine Zahlen bestätigt. Die Angaben von Blockchain-Analysefirmen reichen von 72 bis 92,9 Millionen US-Dollar; betroffen waren 311 Wallets auf den Netzwerken $BTC , $ETH , TRON und BNB Chain.
Die eigentliche Frage ist nicht, ob „Hardware-Wallets noch sicher sind“, sondern worauf sich das Vertrauen stützt. Das Sicherheitsmodell einer Hardware-Wallet beruht vollständig auf der Annahme, dass „niemand das Gerät nach der Herstellung verändert hat“. Diese Annahme hängt von der Verwaltung der Lagerbestände und der Vertriebskette ab – genau jener unscheinbaren Stelle, die am leichtesten kompromittiert werden kann. Berichten zufolge sollen unter den Bildschirmen der Geräte kleine Platinen eingebaut worden sein, die die 24 Wörter der Wiederherstellungsphrase über ein Mobilfunknetz zurückschickten. Ledger hat diese Details jedoch nicht bestätigt; vorerst sind sie als Hinweise zu betrachten.
Ein praktischer Rat für alle, die ein Gerät von CryptoBilis gekauft haben: Richtet ein noch versiegeltes Gerät nicht ein. Wenn ihr es bereits eingerichtet und damit Coins transferiert habt, stellt dieselbe Wiederherstellungsphrase nicht auf einem neuen Gerät wieder her – dabei würden die privaten Schlüssel und Konten ebenfalls übernommen. Stattdessen solltet ihr eine völlig neue Wiederherstellungsphrase erstellen und eure Guthaben übertragen. Jeder „Kundendienst“, der euch nach euren 24 Wörtern fragt, ist ein Betrüger.
Meine Frage lautet: Würdet ihr noch Cold Wallets über Drittanbieter kaufen, wenn schon ein „autorisierter Händler“ zum Problem werden kann, oder lieber mehr bezahlen und direkt beim Hersteller bestellen?
#Ledger bestätigt nicht autorisierte Hardwareimplantate in Geräten von Nutzern